待验证85% 置信事实时间未知

GitHub官方安全指南推荐在GitHub Actions中锁定到commit SHA以规避标签被强制推送覆盖的供应链安全风险

1

来源数

85%

置信度

长期有效

时效性

2026/5/31

首次发现

来源

setup-hd v0.0.78发布：GitHub Actions中高效下载工具的安装方案

twitterGitHubActions

涉及实体

GitHub Actionsproduct GitHubcompany

相关事实

待验证GitHub官方安全最佳实践推荐使用完整commit SHA固定引用Action，以防范供应链攻击中的标签篡改风险89% 相似待验证从不可信来源执行代码是软件安全领域最基本的禁忌之一，应通过代码签名、包管理器验证、沙箱执行等手段防范70% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/7611

API

curl https://kongchang.com/api/v1/knowledge/claims/7611

MCP

get_claim(id=7611)